CVE-2024-44765

CVE-2024-44765

Título es
CVE-2024-44765

Vie, 08/11/2024 – 19:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-44765

Descripción en
An Improper Authorization (Access Control Misconfiguration) vulnerability in MGT-COMMERCE GmbH v2.0.0 to v2.4.2 allows attackers to escalate privileges and access sensitive information via manipulation of the Nginx configuration file.

08/11/2024
08/11/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-51997

CVE-2024-51997

Título es
CVE-2024-51997

Vie, 08/11/2024 – 19:15

Tipo
CWE-287

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-51997

Descripción en
Trustee is a set of tools and components for attesting confidential guests and providing secrets to them. The ART (**Attestation Results Token**) token, generated by AS, could be manipulated by MITM attacker, but the verifier (CoCo Verification Demander like KBS) could still verify it successfully. In the payload of ART token, the ‘jwk’ could be replaced by attacker with his own pub key. Then attacker can use his own corresponding private key to sign the crafted ART token. Based on current code implementation (v0.8.0), such replacement and modification can not be detected. This issue has been addressed in version 0.8.2 and all users are advised to upgrade. There are no known workarounds for this vulnerability.

08/11/2024
08/11/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
8.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-51211

CVE-2024-51211

Título es
CVE-2024-51211

Vie, 08/11/2024 – 19:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-51211

Descripción en
SQL injection vulnerability exists in OS4ED openSIS-Classic Version 9.1, specifically in the resetuserinfo.php file. The vulnerability is due to improper input validation of the $username_stn_id parameter, which can be manipulated by an attacker to inject arbitrary SQL commands.

08/11/2024
08/11/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-51055

CVE-2024-51055

Título es
CVE-2024-51055

Vie, 08/11/2024 – 19:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-51055

Descripción en
An issue Hoosk v1.7.1 allows a remote attacker to execute arbitrary code via a crafted script to the config.php component.

08/11/2024
08/11/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-50811

CVE-2024-50811

Título es
CVE-2024-50811

Vie, 08/11/2024 – 19:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-50811

Descripción en
hopetree izone lts c011b48 contains a server-side request forgery (SSRF) vulnerability in the active push function as \\apps\\tool\\apis\\bd_push.py does not securely filter user input through push_urls() and get_urls().

08/11/2024
08/11/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-9841

CVE-2024-9841

Título es
CVE-2024-9841

Vie, 08/11/2024 – 18:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-9841

Descripción en
A Reflected Cross-Site Scripting (XSS) vulnerability has been identified in OpenText ArcSight Management Center and ArcSight Platform. The vulnerability could be remotely exploited.

08/11/2024
08/11/2024
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:H/VA:L/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
7.00

Gravedad 4.0 txt
HIGH

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-51152

CVE-2024-51152

Título es
CVE-2024-51152

Vie, 08/11/2024 – 18:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-51152

Descripción en
File Upload vulnerability in Laravel CMS v.1.4.7 and before allows a remote attacker to execute arbitrary code via the shell.php a component.

08/11/2024
08/11/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

Estados Unidos confirma que financió el uso del software espía Pegasus en Colombia

Estados Unidos ha confirmado que pagó por el uso del software espía Pegasus para activarlo en territorio colombiano. En una reunión llevada a cabo en la Casa Blanca, en la que fue incluido el embajador del país sudamericano, Daniel García-Peña, se dio a conocer que, justo como habían adelantado medios locales en las últimas horas, el país norteamericano compró los servicios de Pegasus para obtener información relacionada con la lucha contra el narcotráfico al interior de Colombia.

Esta es la versión oficial, la que ha admitido la todavía actual administración de Joe Biden. Sin embargo, al finalizar la reunión, el diplomático colombiano, quien ha destacado la colaboración entre ambos países para atacar dicho frente, sostiene que todavía hay cabos sueltos y muchos interrogantes. Exigió una relación completa de todos los datos registrados por el software espía en suelo colombiano de los últimos 18 meses.


Colombia pegasus
Petro exige investigar la presunta compra del programa espía Pegasus durante el Gobierno de Duque en Colombia

La Policía de Colombia habría pagado 11 millones por Pegasus, un programa usado para espiar a políticos, activistas y periodistas en varios países.


Las primeras indagaciones y el surgimiento de lo que podría ser una nueva confrontación diplomática, fueron reveladas por el diario local EL TIEMPO. Luego de intercambiar información y confirmar con fuentes oficiales en Washington y Bogotá, el medio colombiano anticipó lo que hoy acepta la Casa Blanca a tan solo unos días de los comicios que han devuelto el poder a Donald Trump.

«Tuvimos una reunión larga y franca con personas del más alto nivel del equipo de seguridad de la Casa Blanca, dieron explicaciones y ratificaron muchas de las informaciones que han salido en los medios colombianos. Esta reunión se dio gracias a que tenemos un muy buen momento en la relación, en la cual podemos decirles con franqueza que la cooperación entre los dos países está en un muy buen nivel”, declaró García-Peña al finalizar el encuentro para mitigar cualquier tipo de sospecha respecto a cómo queda el vínculo diplomático entre ambas naciones. “Pero lo cierto es que todavía hay muchas dudas sobre qué fue lo que sucedió”, admite.

El diplomático se ha mostrado dispuesto a esclarecer el asunto. Agrega que el país norteamericano no ha tenido reparo en reconocer que utilizó fondos de gobierno para adquirir el software Pegasus; que lo activó exclusivamente para intervenir a grupos de narcotraficantes y cárteles de la droga de Colombia y México. De acuerdo con García-Peña, funcionarios de Estados Unidos le explicaron que el programa informático de espionaje no fue entregado al Gobierno de Colombia. En cambio, las propias autoridades del país sudamericano daban información de las cabezas y objetivos clave que debían ser interceptadas por el software espía. Esto, según refiere el representante colombiano, con total supervisión.



Debe aclararse, por otro lado, que dichas intervenciones a las comunicaciones dentro de territorio colombiano ocurrieron mientras el uso del programa aún estaba permitido. En 2023, el presidente Biden emitió una orden para prohibir el software ante una serie de sospechas en su aplicación reportadas en todo el mundo. Por tal motivo, el diplomático declaró haber sido muy “muy vehemente” en la exigencia de transparencia y publicación de los datos recopilados durante los 15 o 18 meses en los que operó el software dentro de Colombia.

Daniel García-Peña está consciente de la polémica que puede haber detrás de esta trama. Especialmente porque de esta intervención no fue informado el entonces presidente Iván Duque. Otra controversia alrededor del hecho es que el pago por el software espía, de 11 millones de dólares, se haya realizado en efectivo. “Me parece absolutamente sospechoso e irregular que esos pagos se hagan en efectivo, pero me confirmaron que así fue y que no es la única o primera vez que eso sucede por parte de las autoridades norteamericanas”.

CVE-2024-51032

CVE-2024-51032

Título es
CVE-2024-51032

Vie, 08/11/2024 – 18:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-51032

Descripción en
A Cross-site Scripting (XSS) vulnerability in manage_recipient.php of Sourcecodester Toll Tax Management System 1.0 allows remote authenticated users to inject arbitrary web scripts via the "owner" input field.

08/11/2024
08/11/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-51031

CVE-2024-51031

Título es
CVE-2024-51031

Vie, 08/11/2024 – 18:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-51031

Descripción en
A Cross-site Scripting (XSS) vulnerability in manage_account.php in Sourcecodester Cab Management System 1.0 allows remote authenticated users to inject arbitrary web scripts via the "First Name," "Middle Name," and "Last Name" fields.

08/11/2024
08/11/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off